Email Header IP Adresse?

Question

Hallo!
Gestern habe ich eine seltsame Email bekommen und habe sie mit der Hilfe eines Freundes etwas analysiert - um genau zu sein haben wir uns den Email Header angesehen.
Dabei ist uns aufgefallen, dass dort nicht seine IP Adresse zu finden war, sondern nur zwei IP Adressen von zwei Servern im Ausland, vom Email-Anbieter (wissen wir eindeutig). Au&szlig;erdem waren seltsame Buchstaben- und Zahlenreihen im ganzen Header - ein ganz langer "Text". Eigentlich ist das doch eher un&uuml;blich, oder? Im Header steht doch eigentlich nichts "unn&ouml;tiges", zudem dieser "Text" nicht eine aussagekr&auml;ftige bzw. relevante Informationen beinhaltet.
Meine Frage ist jetzt: Wurde die E-Mail manipuliert? Bzw kann man seine IP Adresse tats&auml;chlich irgendwie aus dem Header entfernen?
Ich w&auml;re wirklich sehr dankbar f&uuml;r Hilfe und Aufkl&auml;rung!

franzhartwig · Answer

Der Header wird im Wesentlichen von den Mailservern geschrieben. Die Headerzeilen, die das Mailprogramm setzt, sehen in etwa so aus:

In-Reply-To: <MID@example.com>
References: <UID@example.com>
Mime-Version: 1.0 (Apple Message framework v753)
X-Apple-Mail-Remote-Attachments: NO
Content-Type: text/html;
	charset=ISO-8859-1
Message-Id: <MID@provider.com>
Content-Transfer-Encoding: quoted-printable
X-Apple-Windows-Friendly: 0
X-Apple-Base-Url: x-msg://12/
From: Name <user@provider.com>
Subject: Das ist der Betreff
Date: Thu, 12 Aug 2021 20:11:38 +0200

Die Mail wird nun per SMTP beim Mailserver des Absenders eingeliefert. Dieser Mailserver schreibt nun eine Received-Zeile oben drüber:

Received: from [192.0.2.1] (helo=[192.168.178.20])
	by smtp.provider.com with esmtpsa  (TLS1.2) tls TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
	(Exim 4.94.2)
	(envelope-from <mail@provider.com>)
	id UID
	for mail@empfaenger.de; Thu, 12 Aug 2021 20:10:35 +0200

Um genau diese Zeile geht es. Diese Zeile sieht so aus, weil ich die Mail mit einem Mailprogramm abgeschickt habe. Das Mailprogramm baut eine Verbindung zu smtp.provider.com auf und meldet sich mit einem HELO-Kommando. Dabei gibt das Mailprogramm auch die lokale IP-Adresse (192.168.178.20) an. Meine im Internet sichtbare Adresse ist die 192.0.2.1, die dort ebenfalls erscheint. Es gibt Mailprovider, die diese Adressen aus dem Header entfernen. Als Benutzer habe ich da keinen Einfluss drauf. Ich kann aber auch z. B. das Webinterface des Mailproviders, z. B. Gmail, GMX, web.de etc. verwenden. Dann macht natürlich der Server dieses Anbieters die Verbindung zum Empfänger-Server auf, sodass dessen IP-Adresse im Received-Header steht.

Außerdem waren seltsame Buchstaben- und Zahlenreihen im ganzen Header - ein ganz langer "Text". Eigentlich ist das doch eher unüblich, oder?

Nein, das ist nicht unüblich. Es gibt dort jede Menge Headerzeilen, deren Kennung mit X- beginnt. Das sind proprietäre Zeilen, die kann jeder setzen wie er will. Spamfilter z. B. setzen solche Zeilen, aber auch Spam-Vermeidungsmechanismen wie DKIM und andere.

Im Header steht doch eigentlich nichts "unnötiges", zudem dieser "Text" nicht eine aussagekräftige bzw. relevante Informationen beinhaltet.

Für Dich nicht, aber für andere Server schon.

FaTech · Answer

Man bekommt nie die IP des Senders. Es ist und war schon immer nur die Server IP 
Der Header ist kein Telefonbuch, was Personendaten enth&auml;lt, sondern enth&auml;lt Informationen zur Verbindung

Zahhak · Answer

Es w&auml;re schon ziemlich seltsam, oder zumindest ungew&ouml;hnlich, die IP-Adresse des Absenders im Mail-Header zu finden.
 Dieser "lange Text mit seltsamen Buchstaben- und Zahlenkombinationen", der wie du behauptest "nicht eine aussagekr&auml;ftige bzw. relevante Informationen beinhaltet" d&uuml;rfte wohl eine DKIM-Signatur oder etwas in der Art sein.

Fazit:

Eigentlich ist das doch eher un&uuml;blich, oder?

Nein, alles andere w&auml;re un&uuml;blich.

Im Header steht doch eigentlich nichts "unn&ouml;tiges"

In der Tat. Ist aber auch hier der Fall und damit absolut normal.

Email Header IP Adresse?

3 Antworten